SQLインジェクションでサイト改ざん、個人情報の漏洩は否定 - キャラアニ.com

キャラクターグッズやソフトウェアの販売サイト「キャラアニ.com」がSQLインジェクション攻撃を受け、サイトの一部ページが改ざんされていたことがわかった。ページを閲覧した場合、ウイルスに感染するおそれがあったという。

サイトを運営するキャラアニによれば、改ざんされたのは、サイト内の商品カテゴリデータベースでカテゴリ名が表示されるページ。商品カテゴリに関するデータベースがSQLインジェクション攻撃を受け、外部サイトのJavaScriptを実行するクロスサイトスクリプティングのコードが埋め込まれた。

改ざんが発生したのは6月12日0時ごろで、サイトを停止した同日2時までに不正コードが埋め込まれたページをInternet Explorerで閲覧した場合、ActiveXコンポーネントからファイルをダウンロードし、ウイルスに感染するおそれがあった。感染する可能性があったウイルスは比較的古い種類だったという。

同社では、外部事業者に依頼して調査を実施。アクセスログの検証やソースコードの監査、ウイルスチェックをなどを行って安全性を確認したうえで、14日13時30分にサイトを再開した。不正アクセスを受けたのはカテゴリ関連のデータベースのみで、個人情報の漏洩については否定している。

（Security NEXT - 2010/06/16 ） ツイート

PR

関連記事

洋菓子店のオンライン通販サイトが不正アクセス被害
ベルギーチョコのECサイト、クレカ情報が流出
図書館サーバが改ざん被害、PHP脆弱性が標的に - 大分大
ウェブサーバが侵害被害、「なりすましメール」送信 - 京都のデザイン会社
通信販売サイトの不正アクセスで調査結果 - JF全漁連
長崎県産品通販サイトの不正アクセス、調査結果を公表
ICT人材マッチング支援サイトが改ざん被害 - 宮崎県
菓子通販サイトに不正アクセス - 個人情報流出の可能性
運営2サイトに不正アクセス、個人情報が流出 - シャープ
サイトが改ざん被害、情報流出は否定 - 秋田県立医療療育センター